由拼夕夕非法提权获取用户隐私及远程遥控，牵出了一则2021年的旧闻

学习墙国(新加坡=习近平)

研究机构发文披露某国产APP恶意利用漏洞，非法提权获取用户隐私及远程遥控 注：据信该APP指的是 #拼多多 微信公众号「DarkNavy」发文，称某互联网厂商 App 利用 Android 系统漏洞提升权限，进而获取用户隐私及阻止自身被卸载。 该互联网厂商在自家看似无害的 App 里，使用的第一个黑客技术手段，是利用一个近年来看似默默无闻、但实际攻击效果非常好的 Bundle 风水 - Android Parcel 序列化与反序列化不匹配系列漏洞，实现 0day/Nday 攻击，从而绕过系统校验，获取系统级…